Sicherheit und Compliance
Das C5-Testat
Der Schutz sensibler Gesundheitsdaten hat bei Vilendo höchste Priorität. Der EndoTracer wird auf der Cloud-Plattform Microsoft Azure betrieben. Sämtliche von Vilendo eingesetzten Azure-Dienste sind vom Prüfungsumfang der C5-Testierung von Microsoft erfasst.
Der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte C5-Kriterienkatalog definiert umfassende Sicherheitsanforderungen für Cloud-Dienste. Vilendo orientiert sich auch bei den technischen und organisatorischen Sicherheitsmaßnahmen an diesen Anforderungen und dokumentiert deren Umsetzung im Vilendo Trust Center.
Rechtliche Einordnung
§ 393 SGB V regelt die Anforderungen an die Verarbeitung von Gesundheitsdaten mittels Cloud-Computing-Diensten. Bei mehrstufigen Betriebsmodellen, in denen eine medizinische Fachanwendung auf einer bereits C5-testierten Cloud-Plattform betrieben wird, bestehen unterschiedliche Auffassungen zur Frage, ob der Softwareanbieter ein zusätzliches eigenes C5-Testat benötigt.
Vilendo vertritt hierzu die Rechtsauffassung, dass der Einsatz des EndoTracers auf Grundlage der bestehenden C5-Testierung der eingesetzten Microsoft-Azure-Dienste und der ergänzenden Sicherheitsmaßnahmen von Vilendo zulässig ist.
Diese rechtliche Einordnung wird unter anderem durch die Ausführungen im Rechtsgutachten von Piltz Legal für den Bundesverband Gesundheits-IT (bvitg) gestützt. Die FAQs des Bundesministeriums für Gesundheit enthalten keine ausdrückliche generelle Verpflichtung jedes SaaS-Anbieters zur eigenständigen C5-Testierung.
Schutz sensibler Gesundheitsdaten
Der EndoTracer wurde mit besonderem Augenmerk auf den Schutz sensibler Gesundheitsdaten entwickelt. Bereits die technische Architektur sorgt dafür, dass personenbezogene Informationen auf das notwendige Maß beschränkt und vor unbefugtem Zugriff geschützt werden.
Die Übertragung der Daten erfolgt ausschließlich über verschlüsselte Verbindungen. Personenbezogene Informationen werden durch Pseudonymisierung geschützt und sensible Daten verschlüsselt gespeichert. Eine konsequente Mandantentrennung stellt sicher, dass die Daten der Krankenhäuser getrennt verarbeitet werden.
Ein besonderes Merkmal des EndoTracers ist die technische Trennung zwischen der medizinischen Behandlungsdokumentation und den statistischen Auswertungen. Für übergreifende Benchmarks und vergleichende Analysen werden ausschließlich anonymisierte Daten verwendet. Zusätzliche Schutzmechanismen verhindern, dass anhand der Auswertungsergebnisse Rückschlüsse auf einzelne Patientinnen gezogen werden können.
Die Umsetzung dieser Sicherheitsmaßnahmen ist im Vilendo Trust Center detailliert dokumentiert und für unsere Kunden nachvollziehbar.
Zugriffsschutz und Benutzerberechtigungen
Der Zugriff auf den EndoTracer ist durch ein mehrstufiges Sicherheitskonzept geschützt. Eine Zwei-Faktor-Authentifizierung stellt sicher, dass die Anmeldung nicht allein durch die Kenntnis eines Kennwortes möglich ist.
Ein differenziertes Rollen- und Berechtigungssystem gewährleistet, dass Benutzer ausschließlich auf diejenigen Funktionen und Daten zugreifen können, für die sie autorisiert sind. Die Zugriffsrechte werden für jeden Benutzer innerhalb eines Mandanten individuell vergeben und können gezielt auf einzelne Befragungen und Dokumentationsbereiche beschränkt werden.
Die Verwaltung der Benutzer und ihrer Berechtigungen erfolgt durch autorisierte Administratoren des jeweiligen Krankenhauses. Änderungen an Berechtigungen sowie sicherheitsrelevante Benutzeraktivitäten werden protokolliert und ermöglichen eine nachvollziehbare Kontrolle der Zugriffe.
Die technischen Einzelheiten des Berechtigungssystems und der Protokollierung sind im Vilendo Trust Center dokumentiert.
Datenschutz und Auswertungen
Der EndoTracer ermöglicht umfangreiche statistische Auswertungen von Behandlungsverläufen und Therapieergebnissen. Zusätzliche Schutzmechanismen stellen sicher, dass statistische Ergebnisse nur bei ausreichend großen Stichproben angezeigt werden. Durch fest vorgegebene, voneinander getrennte Auswertungsintervalle wird außerdem verhindert, dass einzelne Patientinnen durch die geschickte Kombination mehrerer Auswertungen identifiziert werden können.
Das Erstellen von Benchmarks und klinikübergreifenden Vergleichen erfolgt in einem technisch getrennten Auswertungsmodul, das ausschließlich anonymisierte Dokumentations- und Befragungsdaten verarbeitet. Personenbezogene Informationen wie Namen oder E-Mail-Adressen sind diesem Modul nicht zugänglich.
Damit verbindet der EndoTracer die Möglichkeiten einer differenzierten medizinischen Ergebnisanalyse mit einem konsequenten Schutz der Privatsphäre der Patientinnen.
Die technischen Einzelheiten der Anonymisierung und der eingesetzten Schutzmechanismen sind im Vilendo Trust Center dokumentiert.
Datenaufbewahrung und Betriebssicherheit
Der EndoTracer verfügt über dokumentierte Verfahren zur sicheren Aufbewahrung, Löschung und Wiederherstellung von Daten. Die Speicherung personenbezogener Informationen erfolgt entsprechend ihrem Verwendungszweck sowie den vertraglich vereinbarten und gesetzlichen Aufbewahrungsfristen.
Für unterschiedliche Datenarten bestehen definierte Lösch- und Aufbewahrungsregeln. So werden beispielsweise E-Mail-Adressen, die für die Durchführung von Katamnese-Befragungen benötigt werden, nach Abschluss der jeweiligen Befragung automatisiert gelöscht. Auch für die Beendigung von Vertragsverhältnissen sind geregelte Verfahren zur Rückgabe beziehungsweise Löschung personenbezogener Daten vorgesehen.
Zum Schutz vor Datenverlust werden regelmäßige Datensicherungen erstellt und in einer zonenredundanten Backup-Infrastruktur gespeichert. Dokumentierte Notfall- und Wiederherstellungsverfahren gewährleisten, dass die Daten auch bei technischen Störungen oder Systemausfällen wiederhergestellt werden können.
Die Einzelheiten der Löschkonzepte, Datensicherung und Wiederherstellungsverfahren sind im Vilendo Trust Center dokumentiert.
Datenschutzrechtliche Zusammenarbeit
Die datenschutzrechtlichen Rechte und Pflichten werden in einem Auftragsverarbeitungsvertrag (AV-Vertrag) gemäß Art. 28 DSGVO verbindlich geregelt.
Die Krankenhäuser bleiben für die Verarbeitung der Patientendaten datenschutzrechtlich verantwortlich. Vilendo verarbeitet diese Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen und nach den dokumentierten Weisungen des jeweiligen Krankenhauses.
Alle mit der Datenverarbeitung betrauten Mitarbeiter sind zur Vertraulichkeit und zur Wahrung der gesetzlichen Schweigepflicht gemäß § 203 StGB verpflichtet. Auch der Einsatz von Unterauftragnehmern ist vertraglich geregelt und unterliegt dokumentierten Kontrollverfahren.
Vilendo unterstützt die Krankenhäuser bei der Erfüllung ihrer datenschutzrechtlichen Pflichten, insbesondere bei der Wahrnehmung von Betroffenenrechten und beim Umgang mit Datenschutzvorfällen.
Die entsprechenden Verträge, Regelungen und Nachweise stehen unseren Kunden im Vilendo Trust Center zur Verfügung.
Vilendo Trust Center
Mit dem Vilendo Trust Center stellen wir unseren Kunden eine zentrale Informations- und Kommunikationsplattform zur Verfügung, die weit über die Bereitstellung klassischer Datenschutzdokumente hinausgeht.
Neben den vertraglichen Regelungen, Datenschutzkonzepten und Sicherheitsnachweisen erhalten unsere Kunden Einblick in die Ergebnisse regelmäßiger Performance-Tests und Datenbank-Konsistenzprüfungen. Eine detaillierte Update-Historie dokumentiert die kontinuierliche Weiterentwicklung unserer Plattform und macht technische Änderungen nachvollziehbar.
Darüber hinaus ermöglicht das Vilendo Trust Center eine direkte Beteiligung an der Weiterentwicklung des EndoTracers. Kunden können Support-Tickets erstellen, eigene Verbesserungsvorschläge und Entwicklungswünsche einreichen sowie geplante Entwicklungsschritte einsehen.
Das Vilendo Trust Center schafft damit ein hohes Maß an Transparenz über die Sicherheit, technische Zuverlässigkeit und kontinuierliche Weiterentwicklung des EndoTracers und fördert eine offene, partnerschaftliche Zusammenarbeit mit unseren Kunden.